Poważny incydent w rozumieniu NIS2
Dwa jakościowe kryteria uruchamiające obowiązek, jedno rozporządzenie z liczbami dla niektórych dostawców cyfrowych oraz pisemny rejestr decyzji dla wszystkich pozostałych.
Dlaczego definicja ma znaczenie
Istotność jest tym, co uruchamia cały zegar zgłaszania w artykule 23 NIS2: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu jednego miesiąca. Jeżeli zdarzenie jest poważne, zegar rusza w chwili, w której się o nim dowiadujesz. Jeżeli nie jest, nie jesteś nic winien ani CSIRT, ani właściwemu organowi.
Artykuł 23 ust. 3 NIS2 daje jedynie dwa ogólne sformułowania. Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (CIR) dodaje twarde liczby, ale tylko dla niewielkiej grupy dostawców cyfrowych (DNS, TLD, chmura, centrum danych, CDN, MSP, MSSP, platforma handlowa, wyszukiwarka, sieć społecznościowa, usługi zaufania). Dla każdego innego sektora NIS2 test pozostaje jakościowy.
Większość CISO nie docenia tej luki. Jeżeli działasz w produkcji, branży spożywczej, ochronie zdrowia czy gospodarce odpadami, nie ma kwoty w euro, nie ma liczby minut, nie ma progu liczby użytkowników. Musisz zdecydować, musisz zdecydować szybko i musisz potrafić później wyjaśnić dlaczego.
Dyrektywa NIS2 (UE) 2022/2555, art. 23 ust. 3
Incydent uznaje się za poważny, jeżeli: a) spowodował lub może spowodować dotkliwe zakłócenia operacyjne usług lub straty finansowe dla danego podmiotu; b) wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe i niemajątkowe.
To jedyna ogólna definicja poważnego incydentu w prawie UE. Oba punkty posługują się sformułowaniem „może spowodować”, więc musisz ważyć potencjalną szkodę na równi z rzeczywistą. Tekst nigdzie nie kwantyfikuje słów poważne, znaczne ani majątkowe.
CIR (UE) 2024/2690, art. 3
Incydent uznaje się za poważny do celów art. 23 ust. 3 dyrektywy (UE) 2022/2555 w odniesieniu do odpowiednich podmiotów, jeżeli spełnione jest co najmniej jedno z następujących kryteriów: a) incydent spowodował lub może spowodować stratę finansową dla odpowiedniego podmiotu, która przekracza 500 000 EUR lub 5 % całkowitego rocznego obrotu danego podmiotu w poprzednim roku obrotowym, w zależności od tego, która z tych wartości jest niższa; b) incydent spowodował lub może spowodować wyciek tajemnic przedsiębiorstwa, jak określono w art. 2 pkt 1 dyrektywy (UE) 2016/943, odpowiedniego podmiotu; c) incydent spowodował lub może spowodować śmierć osoby fizycznej; d) incydent spowodował lub może spowodować znaczny uszczerbek na zdrowiu osoby fizycznej; e) miał miejsce skuteczny, prawdopodobnie złośliwy i nieuprawniony dostęp do sieci i systemów informatycznych, który może spowodować poważne zakłócenia operacyjne; f) incydent spełnia kryteria określone w art. 4; g) incydent spełnia co najmniej jedno z kryteriów określonych w art. 5 do 14.
Siedem kryteriów (litery od a do g): pięć materialnych plus dwa odesłania. Art. 1 CIR stanowi, że te liczby mają zastosowanie wyłącznie do określonych dostawców cyfrowych (DNS, TLD, chmura, centrum danych, CDN, MSP, MSSP, internetowa platforma handlowa, wyszukiwarka, platforma społecznościowa, usługi zaufania). Artykuły 5 do 14 dodają dla tej samej grupy progi dostępności w podziale na sektory. Jeżeli twój sektor nie jest na tej liście, te liczby cię nie wiążą i pozostaje ci wyłącznie test jakościowy z art. 23 ust. 3.
§32 BSIG (Niemcy, przykładowa transpozycja)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Każde państwo członkowskie przekłada art. 23 na prawo krajowe. §32 BSIG powtarza kaskadę i wskazuje jako odbiorcę wspólny punkt zgłoszeniowy utworzony przez BSI i Federalny Urząd Ochrony Ludności i Pomocy w Katastrofach (BBK). Nie dodaje żadnej własnej liczby dla sektorów niecyfrowych. Austriackie NISG 2026 obowiązuje od 1 października 2026 r. Francja i Niderlandy nie zgłosiły swojej transpozycji do lipca 2026 r. (Komisja skierowała je do Trybunału Sprawiedliwości).
Siedem kryteriów (litery od a do g)
Pięć materialnych przesłanek plus dwa odesłania. (a) 500 000 EUR lub 5 procent obrotu (w zależności od tego, która wartość jest niższa), (b) eksfiltrowane tajemnice przedsiębiorstwa, (c) śmierć osoby, (d) poważny uszczerbek na zdrowiu osoby, (e) udane złośliwe włamanie mogące spowodować poważne zakłócenie, (f) incydenty powtarzające się wg art. 4, (g) progi specyficzne dla podmiotu wg art. 5 do 14. Spełnienie któregokolwiek z nich uruchamia istotność dla dostawców cyfrowych objętych zakresem.
Incydenty powtarzające się
Drobne incydenty się kumulują. Jeżeli ta sama pierwotna przyczyna wywoła co najmniej dwa incydenty w ciągu sześciu miesięcy, a łącznie przekraczają one próg straty finansowej z art. 3 ust. 1 lit. a), CIR traktuje je jako jeden poważny incydent. Liczenie każdego z osobna jest błędne.
Szczegóły dla DNS i TLD
Dla dostawców usług DNS (art. 5): rozwiązywanie nazw całkowicie niedostępne przez ponad 30 minut, średni czas odpowiedzi powyżej 10 sekund przez ponad godzinę albo naruszone dane (z wyjątkiem błędnej konfiguracji dotyczącej mniej niż 1000 domen i nie więcej niż 1 % z nich). Rejestry TLD (art. 6): każda całkowita awaria autorytatywnego rozwiązywania nazw, czas odpowiedzi powyżej 10 sekund przez godzinę lub jakiekolwiek naruszenie danych TLD. Artykuły 7 do 14 ustanawiają progi dla chmury, centrów danych, CDN, MSP i MSSP, platform handlowych, wyszukiwarek, sieci społecznościowych i usług zaufania.
Kryterium A: poważne zakłócenie operacyjne lub strata finansowa dla twojego podmiotu
To kryterium skierowane do wewnątrz. Dyrektywa nie daje ci kwoty w euro, czasu trwania ani procentu. Motyw 101 wskazuje trzy rzeczy, którym należy się przyjrzeć: jaka część usługi jest dotknięta, jak długo trwa incydent i ilu użytkowników dotyka. Wykorzystaj je do uporządkowania toku myślenia. Nie traktuj ich jak listy kontrolnej.
Kryterium B: znaczna szkoda majątkowa lub niemajątkowa dla osób trzecich
To kryterium skierowane na zewnątrz. Klienci, obywatele, operatorzy w dalszej części łańcucha, twój łańcuch dostaw. Szkoda niemajątkowa obejmuje uszczerbek na reputacji i zaufaniu. Krótka awaria, która przerywa proces w szpitalu, ujawnia dane klientów albo wyłącza usługę miejską, może spełnić to kryterium, nawet jeżeli twoja własna strata jest niewielka.
Ransomware wstrzymuje produkcję na dwa dni
Operacje zatrzymane. Kryterium A z art. 23 ust. 3 NIS2 (poważne zakłócenie operacyjne) jest spełnione. Wczesne ostrzeżenie 24 h, zgłoszenie incydentu 72 h, sprawozdanie końcowe 1 miesiąc (art. 23 NIS2 / §32 BSIG).
Kliknięto e-mail phishingowy, hasła nie wprowadzono
Sytuacja skutecznie opanowana, brak wpływu na usługi lub osoby trzecie. Dobrowolne zgłoszenie na podstawie art. 30 NIS 2 jest dostępne, jeżeli chcesz się podzielić informacją, i nie nakłada żadnych dodatkowych obowiązków (art. 30 ust. 2).
Awaria dostawcy chmury, opóźnienie twojej własnej usługi
Jeżeli twoja własna usługa staje się znacząco wolniejsza lub przestaje działać, kryterium A jest spełnione. Sprawdź też kryterium B: czy szkodę ponoszą klienci lub operatorzy w dalszej części łańcucha? (art. 23 ust. 3 NIS2)
Atak DDoS wyłącza portal klienta na cztery godziny
Znaczne przerwanie usługi dla klientów. Oba kryteria z art. 23 ust. 3 NIS2 są potencjalnie spełnione. Dla dostawców DNS, chmury lub usług zaufania sprawdź dodatkowo art. 5 do 14 CIR.
Błędna konfiguracja ujawnia dane klientów
Artykuł 33 GDPR: 72 h do organu nadzorczego. Jeżeli przekroczony zostaje również próg NIS2 (art. 23 ust. 3 NIS2 lub art. 3 CIR), dodatkowo artykuł 23 NIS2: wczesne ostrzeżenie do CSIRT w 24 h. Oba zegary ruszają w chwili powzięcia wiedzy.
Naruszenie u dostawcy, dotknięta twoja własna usługa
Najpierw sprawdź szkodę dla twojego własnego podmiotu lub twoich klientów. Nie każdy incydent u dostawcy uruchamia twój własny obowiązek zgłoszenia. Równolegle: udokumentuj nadzór nad dostawcą na podstawie art. 21 ust. 2 lit. d) NIS2.
Nie masz pewności? Wczesne ostrzeżenie można zaktualizować w zgłoszeniu po 72 godzinach (art. 23 ust. 4 lit. b)). W przypadku zdarzeń poniżej progu możesz zgłosić dobrowolnie, nie przyjmując dodatkowych obowiązków (art. 30).
Artykuł 30 ust. 1 NIS2 zezwala na dobrowolne zgłaszanie incydentów, cyberzagrożeń i zdarzeń potencjalnie groźnych do CSIRT. Dotyczy to podmiotów objętych zakresem dyrektywy oraz podmiotów spoza niego, które chcą zgłosić poważne zdarzenie.
Artykuł 30 ust. 2 NIS 2 jest kluczową ochroną: dobrowolne zgłaszanie nie skutkuje nałożeniem żadnych dodatkowych obowiązków na podmiot zgłaszający. Zgłoszenie przypadku granicznego nie niesie ryzyka dodatkowych obowiązków. To usuwa oczywistą wymówkę, by nie zgłaszać niejasnego incydentu.
Artykuł 23 ust. 2 NIS2 dodaje odrębny obowiązek. Podmioty kluczowe i ważne informują, bez zbędnej zwłoki, odbiorców swoich usług o wszelkich środkach lub działaniach naprawczych, które mogą podjąć, aby ograniczyć ryzyko wynikające z poważnego cyberzagrożenia. To nie jest zgłoszenie do CSIRT; to zewnętrzna komunikacja do klientów.
W Niemczech wdraża to § 35 ust. 2 BSIG: podmioty z sektorów finansów, zabezpieczenia społecznego, infrastruktury cyfrowej, zarządzania usługami ICT i usług cyfrowych muszą poinformować klientów zagrożonych poważnym cyberzagrożeniem, co mogą zrobić, jeżeli interesy klientów przeważają nad ich własnymi. Odrębnie BSI może nakazać podmiotowi poinformowanie klientów o poważnym incydencie (§ 35 ust. 1 BSIG), na przykład przez publikację na jego stronie internetowej.
Wytyczne BSI na podstawie §32 BSIG
BSI powtarza definicję z § 2 pkt 11 BSIG i rozumie „może spowodować” tak, że skutki mogłyby realnie nastąpić. Zgłoszenia przechodzą przez portal BSI. Nie publikuje żadnej liczby dla sektorów niecyfrowych. BSI zwraca uwagę, że federalne ministerstwo spraw wewnętrznych może później zdefiniować „poważny” dokładniej w drodze rozporządzenia (§ 56 ust. 4 BSIG).
Wytyczne techniczne ENISA dotyczące wdrażania
Wytyczne techniczne ENISA dotyczące wdrażania (TIG, wersja 1.0 z czerwca 2025 r.; jej tabela mapowań została zaktualizowana do wersji 1.2 w sierpniu 2025 r.) dają praktyczne wskazówki co do oceny skutków i odsyłają do progów CIR tam, gdzie mają one zastosowanie. TIG są niewiążące i wyraźnie odsyłają sektory spoza zakresu CIR z powrotem do organów krajowych.
Inne państwa członkowskie
Austriackie NISG 2026 obowiązuje od 1 października 2026 r. Francja i Niderlandy nie zgłosiły swojej transpozycji do lipca 2026 r. (Komisja skierowała je do Trybunału Sprawiedliwości). Przykładem użytym tutaj są Niemcy.
Mit 1: Poznamy to, gdy to zobaczymy.
Rzeczywistość: art. 23 ust. 4 lit. a) daje ci 24 godziny od powzięcia wiedzy o poważnym incydencie na wysłanie wczesnego ostrzeżenia. W tym czasie musisz podjąć decyzję, spisać uzasadnienie i być w stanie obronić je podczas audytu. Jeżeli nie spisałeś swoich kryteriów przed incydentem, będziesz podejmować decyzję pod presją, bez żadnego zapisu, na którym mógłbyś się oprzeć. Zbuduj ramy decyzyjne teraz, a nie w dniu zdarzenia.
Mit 2: Tylko naruszenia danych liczą się jako poważne incydenty.
Rzeczywistość: art. 23 ust. 3 lit. a) obejmuje zakłócenia operacyjne i straty finansowe bez żadnej wzmianki o danych osobowych. Linia produkcyjna zatrzymana przez ransomware bez eksfiltracji danych jest poważnym incydentem. Platforma logistyczna niedostępna przez trzy godziny może nim być, jeśli awaria poważnie zakłóca usługę lub powoduje znaczną szkodę dla klientów. NIS 2 to nie GDPR.
Mit 3: Drobne incydenty poniżej progu się nie kumulują.
Rzeczywistość: dla dostawców cyfrowych objętych CIR incydenty o tej samej widocznej przyczynie źródłowej, które wystąpiły co najmniej dwa razy w ciągu sześciu miesięcy, liczą się jako jeden poważny incydent, jeśli ich straty finansowe razem przekraczają próg z art. 3 ust. 1 lit. a) (art. 4 CIR). Sama NIS 2 nie zawiera takiej reguły, ale seria drobnych incydentów nadal jest powodem, by przyjrzeć się sprawie ponownie.
Załączniki I i II do NIS 2 obejmują 18 sektorów. Tylko grupa cyfrowa z art. 1 CIR (11 typów podmiotów) otrzymuje liczby. To niewielki wycinek podmiotów objętych zakresem. Dla energetyki, transportu, bankowości, infrastruktury rynku finansowego, ochrony zdrowia, wody pitnej, ścieków, administracji publicznej, przestrzeni kosmicznej, sektora pocztowego, gospodarki odpadami, chemii, żywności, produkcji i badań naukowych test pozostaje jakościowy.
I właśnie tutaj możesz być użyteczny na sali. Uczciwa odpowiedź na pytanie zarządu („co liczy się jako poważne dla nas?”) brzmi: UE pozostawiła to twojej ocenie, oto trzy czynniki z motywu 101, oto rejestr decyzji, który sporządzimy w dniu zdarzenia, oto kto go podpisuje, oto formularz zgłoszeniowy BSI, który złożymy. Obronna odpowiedź nie jest liczbą. Jest spisaną decyzją.
- Dyrektywa (UE) 2022/2555 (NIS2), art. 23 i motyw 101: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690, artykuły 1, 3, 4, 5 do 14: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSIG § 32 (Niemcy): gesetze-im-internet.de/bsig_2025
- ENISA, NIS2 Technical Implementation Guidance, wersja 1.0, 26 czerwca 2025 r.: enisa.europa.eu
- BSI, FAQ do NIS-2 i portal BSI: bsi.bund.de, portal.bsi.bund.de
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
